m4nifest0-tech

Cerca nel sito

Networking e segmentazione delle reti

Accesso remoto tramite VPN

Accesso alla rete interna dall'esterno solo tramite VPN, con autenticazione a chiavi e collegamento opzionale tra sedi di tipo site-to-site.
AttivoAggiornata il

Obiettivo

Raggiungere in sicurezza i servizi interni da fuori casa, senza esporre direttamente interfacce di gestione o servizi su Internet.

Architettura

Dall'esterno è raggiungibile solo l'endpoint VPN, ospitato dal firewall. I client si autenticano con coppie di chiavi e, una volta nel tunnel, raggiungono soltanto i segmenti di gestione e server consentiti. Una sede remota può essere collegata in modalità site-to-site con un tunnel permanente dedicato.

Accesso remoto tramite VPNUn client remoto e, in modo opzionale, il gateway di una sede remota raggiungono Internet e da lì un firewall che ospita l'endpoint VPN. Il collegamento della sede remota è un tunnel site-to-site, rappresentato con una linea tratteggiata. Dopo l'autenticazione, il firewall consente l'accesso soltanto ai segmenti di gestione e server della rete interna.Accesso esternoRete pubblicaPerimetroRete internaClient remotodispositivo autorizzatoGateway sede remotaopzionale, site-to-siteInternetFirewall e VPNendpoint VPN integratoVLAN gestioneVLAN servertunnel VPNsite-to-sitesolo traffico VPNaccesso limitatoaccesso limitato
  • Client remoto è collegato a Internet (tunnel VPN)
  • Gateway sede remota è collegato a Internet (site-to-site), collegamento logico
  • Internet è collegato a Firewall e VPN (solo traffico VPN)
  • Firewall e VPN è collegato a VLAN gestione (accesso limitato)
  • Firewall e VPN è collegato a VLAN server (accesso limitato)
Accesso remoto tramite VPN. Un client remoto e, in modo opzionale, il gateway di una sede remota raggiungono Internet e da lì un firewall che ospita l'endpoint VPN. Il collegamento della sede remota è un tunnel site-to-site, rappresentato con una linea tratteggiata. Dopo l'autenticazione, il firewall consente l'accesso soltanto ai segmenti di gestione e server della rete interna.Linea continua: collegamento diretto. Linea tratteggiata: collegamento logico o secondario.

Dettagli

Principi

Dall'esterno non sono raggiungibili interfacce di gestione né servizi interni: l'unico punto di ingresso è l'endpoint VPN. Ogni dispositivo ha la propria coppia di chiavi, revocabile singolarmente, e una volta nel tunnel può raggiungere solo i segmenti autorizzati. Il traffico in uscita dal tunnel resta comunque soggetto alle regole del firewall: la VPN autentica e cifra, ma non sostituisce la politica di accesso.

Una sede remota può essere collegata in modalità site-to-site, con un tunnel permanente e rotte limitate alle sole reti necessarie. L'approccio è descritto in WireGuard: accesso remoto e VPN site-to-site senza complicazioni.

Configurazione attuale

  • Soluzione: WireGuard, per la semplicità di configurazione e le prestazioni rispetto a VPN più tradizionali.
  • Instradamento: split-tunnel — solo i segmenti di gestione e server passano dal tunnel, il resto del traffico del client esce dalla sua rete locale.
  • Risoluzione dei nomi: i client connessi usano il resolver DNS interno, cosi i nomi dei servizi funzionano come da rete locale.
  • Chiavi: ogni dispositivo ha una coppia dedicata; la rotazione avviene ogni 6 mesi oppure subito in caso di smarrimento o dismissione del dispositivo, con revoca immediata sul peer corrispondente.

Cosa non viene pubblicato

Indirizzi, porte, nomi di host e configurazione dell'endpoint non sono riportati, per non agevolare tentativi di accesso.